Projekt anfragen
Person mit Mütze sitzt im abgedunkelten, blau beleuchteten Raum an einer Tastatur

Cloud Security für AWS, Azure und STACKIT

Cloud Security Beratung und technische Absicherung

Über Jahre gewachsene Konten, Rollen und Schlüssel, Ressourcen ohne gemeinsame Vorgaben: Wir prüfen Ihre Cloud-Umgebung technisch auf Schwachstellen in Identitäten, Netzen, Verschlüsselung, Protokollierung und Konfiguration und härten sie gemeinsam mit Ihrem Team. Sie erhalten eine priorisierte Liste konkreter Befunde und einen Maßnahmenplan.

Projekt anfragen Musterbericht ansehen (PDF)
  • Analyse lesend, ohne Zugriff auf Produktivdaten
  • Befunde mit Konfigurationsauszügen belegt
  • Härtung als Infrastructure as Code

Autor: Ibrahim Yesilay, Gründer und Geschäftsführer Stand:

01Wann Sie uns brauchen

Vier Lagen, in denen niemand den Stand der Cloud-Konfiguration kennt

Typisch für IT-Leitung und CTO: Die Cloud läuft, aber ob sie sicher konfiguriert ist, kann gerade niemand belegen. Vier Ausgangslagen, in denen wir meist angefragt werden.

  • Konten und Schlüssel sind über Jahre gewachsen

    Rollen, Konten und Zugriffsschlüssel häufen sich an, und niemand kennt den vollständigen Stand.

  • Mehrere Teams, keine gemeinsamen Vorgaben

    Ressourcen wurden von verschiedenen Teams angelegt, ohne dass ein einheitlicher Rahmen galt.

  • Migration abgeschlossen, Sicherheit nur funktional übernommen

    Die Cloud-Migration ist fertig, die Sicherheitskonfiguration wurde aber nur funktional übernommen.

  • Ein Dritter verlangt belegbare Maßnahmen

    Ein Kunde, eine Versicherung oder eine gesetzliche Pflicht (zum Beispiel NIS2) verlangt Nachweise.

02Vorgehen

Von der Frage, was kritisch ist, bis zur Nachprüfung der Behebung

Die Arbeit folgt sechs Bausteinen. Der erste legt fest, welche Befunde für Sie schwer wiegen, der letzte prüft, ob die Behebung hält.

Ablauf einer Cloud-Security-Prüfung Sechs Bausteine: Bedrohungsmodell, IAM-Prüfung, Fehlkonfigurationen, Härtung, Segmentierung, Behebung. Cloud-Security-Prüfung in sechs Bausteinen AWS, Azure und STACKIT: von der Analyse zur nachgeprüften Behebung 1BedrohungsmodellKritische Daten,Zugriffswege 2IAM-PrüfungRollen, Schlüssel,MFA 3FehlkonfigurationenSpeicher, Ports,Verschlüsselung 4HärtungÄnderungenals IaC 5SegmentierungDefault-Deny,private Anbindung 6BehebungPlan, Umsetzung,Nachprüfung Analyse arbeitet lesend; Änderungen nur über abgestimmte Änderungsprozesse.
Ablauf einer Cloud-Security-Prüfung Sechs Bausteine: Bedrohungsmodell, IAM-Prüfung, Fehlkonfigurationen, Härtung, Segmentierung, Behebung. Cloud-Security-Prüfungin sechs Bausteinen AWS, Azure und STACKIT: von der Analysezur nachgeprüften Behebung 1BedrohungsmodellKritische Daten, Zugriffswege 2IAM-PrüfungRollen, Schlüssel, MFA 3FehlkonfigurationenSpeicher, Ports, Verschlüsselung 4HärtungÄnderungen als IaC 5SegmentierungDefault-Deny, private Anbindung 6BehebungPlan, Umsetzung, Nachprüfung Analyse arbeitet lesend; Änderungen nur überabgestimmte Änderungsprozesse.

03

Was in jedem der sechs Bausteine passiert

  1. 01

    Bedrohungsmodell

    1

    Welche Daten und Dienste sind kritisch, wer greift darauf zu, über welche Wege? Daraus folgt, welche Befunde für Sie schwer wiegen.

  2. 02

    IAM-Prüfung

    2

    Rollen, Richtlinien, Dienstkonten, langlebige Zugangsschlüssel, Administratorzugänge, MFA und die Verwaltung über die jeweilige Plattform (AWS IAM, Azure-Rollenmodell, Rollenmodell von STACKIT).

  3. 03

    Fehlkonfigurationen finden

    3

    Öffentlich erreichbare Speicher oder Datenbanken, offene Verwaltungsports, überbreite Freigaben, fehlende Verschlüsselung. Wo sinnvoll, mit Cloud-Security-Posture-Management-Werkzeugen (CSPM) und dem passenden Regelwerk, zum Beispiel den CIS-Benchmarks der Plattform.

  4. 04

    Härtung

    4

    Konkrete Konfigurationsänderungen, als Infrastructure as Code, damit sie reproduzierbar bleiben.

  5. 05

    Segmentierung

    5

    Trennung von Umgebungen, Netzregeln nach Default-Deny, kontrollierter ausgehender Verkehr, private Anbindung von Diensten.

  6. 06

    Behebung und Nachprüfung

    6

    Priorisierter Plan, Umsetzung nach Absprache (Remediation), anschließend Nachprüfung.

04Prüfumfang

Sechs Prüfbereiche, die wir in jeder Cloud-Umgebung abklopfen

Der Katalog ist unser Standard-Prüfumfang. Er wird auf Ihre Plattform und Ihr Bedrohungsmodell angepasst.

Prüfkatalog Cloud Security nach Bereichen
BereichPrüfpunkte
IAMKeine Alltagsarbeit mit Root- oder Global-Admin-Konten; MFA für alle menschlichen Administratoren; keine langlebigen Schlüssel, wo kurzlebige Anmeldungen möglich sind; Rollen nach Least Privilege; ungenutzte Konten und Rechte; Dienstkonten mit begrenztem Umfang; Break-Glass-Zugang dokumentiert und überwacht
NetzKeine Verwaltungsports aus dem offenen Internet; Segmentierung nach Umgebung und Schutzbedarf; Default-Deny-Regeln; Kontrolle des ausgehenden Verkehrs; private Endpunkte für Datendienste
Verschlüsselung und KMSRuhende Daten verschlüsselt; TLS für Übertragung; Schlüsselverwaltung über KMS mit getrennten Zuständigkeiten; Rotation; Zugriff auf Schlüssel protokolliert
LoggingAudit-Logs der Plattform aktiviert, zentral gesammelt, manipulationsgeschützt aufbewahrt; Alarmierung für kritische Ereignisse (Rollenänderung, Anmeldung ohne MFA, Löschung von Logs)
FehlkonfigurationÖffentliche Speicher, Snapshots oder Datenbanken; Standardzugangsdaten; ungepatchte Basis-Images; unverschlüsselte Backups
BackupKopie in getrennter Umgebung, Zugriffstrennung, Restore getestet

05

Härtung als Code: Änderungen, die nachvollziehbar und wiederholbar bleiben

Was wir als Schwachstelle finden, beheben wir nicht per Klickpfad in der Konsole. Konfigurationsänderungen entstehen als Infrastructure as Code und gehen durch Review, damit sie reproduzierbar bleiben und Ihr Betrieb sie übernehmen kann.

  • Jede Änderung geht durch Review, bevor sie ausgerollt wird
  • Der Stand lässt sich jederzeit aus dem Code nachvollziehen
  • Ihr Betrieb kann die Konfiguration ohne Konsolenwissen weiterpflegen
Aufgeklappter Laptop mit der Aufschrift Cyber Security auf dem Bildschirm in einem Großraumbüro

06Einstufung

Vier Stufen, die Ihnen die Reihenfolge der Behebung vorgeben

Unser Schema ist eine praktische Einordnung, kein CVSS-Ersatz.

  1. 01

    Behebung sofort

    Kritisch

    Aus dem Internet ohne Besonderheiten ausnutzbar oder erlaubt vollständige Kontoübernahme.

  2. 02

    Behebung kurzfristig

    Hoch

    Ausnutzbar mit niedrigem Aufwand oder durch einen kompromittierten internen Zugang mit großem Schadensradius.

  3. 03

    Behebung im regulären Maßnahmenplan

    Mittel

    Erfordert zusätzliche Bedingungen oder hat begrenzte Auswirkung.

  4. 04

    Behebung bei Gelegenheit

    Niedrig

    Abweichung von Best Practice ohne direkten Angriffsweg.

Drei Faktoren entscheiden über die Stufe

Maßgeblich sind Erreichbarkeit (extern oder intern), Schadensradius (ein System oder ganzes Konto) und vorhandene Gegenmaßnahmen. Wie ein Ergebnisbericht aufgebaut ist, zeigt unser Musterbericht. Er beschreibt eine fiktive Umgebung und ist kein Kundenprojekt.

Musterbericht Cloud Security (PDF)

07Ergebnisse

Was Sie am Ende in der Hand haben

  • Befundbericht mit Einstufung und Belegen (Konfigurationsauszüge)
  • Maßnahmenplan mit Abhängigkeiten und Aufwandseinschätzung
  • Gehärtete Konfiguration als IaC-Änderungen (bei beauftragter Umsetzung)
  • Übergabe-Dokumentation für Ihren Betrieb

08Zusammenarbeit

Lesender Zugriff, befristete Zugänge, keine Dateninhalte

Die Analyse arbeitet standardmäßig lesend. Änderungen gehen nur über abgestimmte Änderungsprozesse und IaC-Reviews.

  • Lesender Zugriff nach Least Privilege

    Auf Konten, Subscriptions oder Projekte, mit Ihrer Freigabe und ohne Zugriff auf Produktivdaten.

  • Befristete Zugänge

    Zugangsdaten werden nicht in Repositories abgelegt, wir arbeiten mit befristeten Zugängen.

  • Konfigurationen und Metadaten, nicht Ihre Daten

    Wir greifen nicht auf Inhalte Ihrer Daten zu, sondern auf Konfigurationen und Metadaten.

  • Was wir von Ihnen brauchen

    Architekturunterlagen und Ansprechpartner je Plattform, Klärung Ihres Schutzbedarfs und gesetzlicher Vorgaben sowie einen Freigabe-Prozess für Änderungen an produktiven Umgebungen.

09

Konfigurationsprüfung statt Angriffssimulation: Was diese Leistung ist und was nicht

Das liefern wir

  • Technische Prüfung und Härtung der Cloud-Konfiguration mit belegten Befunden.
  • Bewertung der Befunde und Umsetzung der Behebung gemeinsam mit Ihrem Team.

Das ist etwas anderes

  • Ein Penetrationstest mit Ausnutzung von Schwachstellen oder eine Red-Team-Übung ist eine eigene Disziplin.
  • Ein Zertifikat oder Gutachten für Dritte gehört nicht zum Umfang.
  • Ein Dauerbetrieb mit laufender Selbstbehebung durch Werkzeuge ist nicht gemeint: Werkzeuge liefern Befunde, Bewertung und Behebung bleiben technische Arbeit.

Anfrage

Welche Plattformen, welcher Umfang, welcher Anlass?

Nennen Sie uns AWS, Azure oder STACKIT, die ungefähre Zahl der Konten oder Subscriptions und den Anlass der Prüfung. Weitere Sicherheitsbereiche finden Sie unter Cybersecurity, zur Weiterentwicklung der Plattform siehe Cloud-Beratung.

Projekt anfragen Alle Sicherheitsbereiche